GitHub har besluttet at stoppe understøttelsen af protokollerne TLS 1.0 og 1.1 i NPM-pakkerepositoriet og på alle websteder relateret til NPM-pakkemanagement, inklusive npmjs.com. Fra den 4. oktober vil det kræve en klient, der understøtter mindst TLS 1.2 for at oprette forbindelse til repositoriet, herunder installation af pakker. Støtten til TLS 1.0/1.1 på selve GitHub blev stoppet allerede i februar 2018. Begrundelsen er at beskytte sikkerheden af deres tjenester og brugerdata. Ifølge GitHub foretages omkring 99% af anmodningerne til NPM-repositoriet allerede ved hjælp af TLS 1.2 eller 1.3, og Node.js har inkluderet støtte til TLS 1.2 siden 2013 (startende med version 0.10), så ændringen vil kun påvirke en lille del af brugerne.
Vi minder om, at protokollerne TLS 1.0 og 1.1 officielt er blevet erklæret forældede af IETF (Internet Engineering Task Force). Specifikationen for TLS 1.0 blev offentliggjort i januar 1999. Syv år senere blev der udgivet en opdatering, TLS 1.1, med sikkerhedsforbedringer relateret til generering af initialiseringsvektorer og fyldte data. Blandt de største problemer med TLS 1.0/1.1 nævnes manglende støtte til moderne krypteringer (f.eks. ECDHE og AEAD) samt specifikationen, som kræver understøttelse af ældre krypteringer, hvis pålidelighed er sat under spørgsmålstegn i dagens udvikling af computing (for eksempel kræves understøttelse af TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, hvor MD5 og SHA-1 bruges til at sikre integritet og autentificering). Understøttelsen af forældede algoritmer har allerede ført til angreb som ROBOT, DROWN, BEAST, Logjam og FREAK. Ikke desto mindre var disse problemer ikke direkte sårbarheder i protokollen, men blev lukket på niveauet for dens implementeringer. Der er ingen kritiske sårbarheder i protokoller som TLS 1.0/1.1, der kan udnyttes til praktiske angreb.
Kilde: opennet.ru
